Esta semana, el equipo de Inteligencia sobre Amenazas Cibernéticas (CTI) de Tanium analiza cómo los autores de amenazas están aprovechando los registros DNS olvidados o huérfanos. A continuación, nuestro equipo de CTI destaca una campaña de malware sigilosa que utiliza técnicas de ejecución sin archivos para instalar el RAT Remcos. Por último, el equipo concluye con una descripción general de una novedosa campaña de phishing que utiliza un npm (gestor de paquetes de Node) malicioso como parte de su mecanismo de distribución.
Hazy Hawk utiliza registros DNS para atacar dominios
Un informe reciente de Infoblox titulado « » (se abre en una nueva pestaña) destaca cómo los registros DNS obsoletos —especialmente aquellos que apuntan a infraestructuras en la nube fuera de servicio— pueden ser secuestrados por los atacantes y utilizados con fines maliciosos. Uno de estos actores, Hazy Hawk, es un agente malicioso experto en DNS del que se sabe que hace precisamente eso.
Infoblox tuvo conocimiento de este actor a principios de 2025 , después de que este se hiciera con el control de unos subdominios pertenecientes a los Centros para el Control y la Prevención de Enfermedades (CDC) de EE. UU. Dado que estas vulnerabilidades en el DNS son difíciles de detectar, los investigadores creen que es probable que Hazy Hawk tenga acceso a un gran servicio de DNS pasivo.
Hasta la fecha, se ha observado que el atacante ha dirigido sus ataques contra decenas de organizaciones.
Cómo Hazy Hawk se centra en los recursos en la nube
Hazy Hawk se especializa en apropiarse de recursos en la nube abandonados, como los buckets de AWS S3 y los puntos de conexión de Azure, aprovechando registros DNS olvidados. Tal y como señala Infoblox, llevar a cabo este tipo de ataques requiere un nivel de sofisticación técnica avanzado y poco habitual.
Hazy Hawk se ha convertido en un experto a la hora de detectar fallos en los registros DNS, secuestrar dominios y reutilizarlos para alojar direcciones URL maliciosas. Para evitar ser detectado, el autor del ataque se apropiará de los subdominios de dominios populares y de buena reputación, ocultará las direcciones URL, utilizará contenido de otros sitios web para su página y redirigirá a las víctimas a través de al menos una dirección URL que utilice un servicio conocido.
Las víctimas de este ataque suelen ser redirigidas a un sistema de distribución de tráfico (TDS) que determinará a dónde deben ser enviadas.
Infoblox señala que, a menudo, la página de destino no se corresponde con el reclamo inicial. Por ejemplo, muchas de las URL del autor del ataque utilizan el subdominio «cdc.gov», que había sido secuestrado previamente, y redirigen a la víctima a través de una página de Blogspot, seguida de una página «.xyz».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala Infoblox, Hazy Hawk nos recuerda que «dado que el DNS no se percibe generalmente como un vector de amenaza, este tipo de ataques pueden pasar desapercibidos durante largos periodos de tiempo».
Este actor se centra activamente en organizaciones de gran relevancia y no necesita traspasar ningún perímetro para alcanzar su objetivo.
Este tipo de ataque resulta difícil de detectar a menos que se supervise de forma activa el estado del DNS.
Una nueva campaña de malware distribuye el RAT «Remcos» sin archivos
Una publicación reciente de Qualys, « » (se abre en una nueva pestaña) , destaca una campaña de malware sigilosa que utiliza técnicas de ejecución sin archivos para desplegar Remcos RAT, un potente troyano de acceso remoto (RAT).
El ataque utiliza PowerShell y herramientas nativas de Windows, como «mshta.exe», para eludir las defensas tradicionales de los terminales.
Cómo se introduce el malware y cómo permanece en el sistema
Según Qualys, el ataque comienza con un archivo denominado « “new-tax3.11.zip». Los archivos LNK maliciosos se encuentran incrustados en los archivos ZIP, los cuales ejecutan un archivo de aplicación HTML (HTA) ofuscado que contiene un script VBS.
Qualys analizó el archivo « “new-tax311.zip» y descubrió que la ejecución inicial se lleva a cabo a través de MSHTA para ejecutar un archivo HTA ofuscado. Este archivo HTA contiene código VBScript ofuscado capaz de eludir Windows Defender.
Además, el código descarga scripts de PowerShell para configurar PowerShell de modo que eluda la política de ejecución, se ejecute en modo oculto y cree una clave de registro para garantizar su persistencia. El archivo HTA también descargará varias cargas útiles en el directorio público del usuario, una de las cuales se ejecutará al iniciar el sistema.
Cómo distribuye el script el RAT Remcos
El script de PowerShell, « “24.ps1», está ofuscado y repleto de diversas funciones y variables sin sentido. Utiliza una manipulación de cadenas personalizada para descodificar dos blobs codificados en base64 . Además, el script invoca Win32 API para asignar memoria, así como para inyectar y ejecutar código en memoria.
Se cree que uno de los fragmentos descodificados es el archivo binario del RAT Remcos. Se compila con Visual Studio C++ 8 y funciona a través de varios módulos distintos para establecer la persistencia, recopilar datos del sistema, eludir el UAC y conectarse a su dominio C2 .
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Muchas de las tácticas, técnicas y procedimientos (TTP) empleados en este ataque concuerdan con los de actores a nivel de Estado-nación y de amenazas persistentes avanzadas (APT), lo que confiere mayor relevancia a la campaña. La campaña utiliza numerosas técnicas habituales, entre las que se incluyen el malware sin archivo, los LOLBins y los RAT de uso general.
Se trata de otra campaña más que da prioridad a eludir las medidas de defensa, un proceso que los autores de amenazas están automatizando cada vez más.
[Lea también: 15 términos de ciberseguridad que usted (y su director general) ya deberían conocer]
Los autores de amenazas combinan el cifrado AES y paquetes maliciosos de npm en una campaña de phishing
Investigadores de Fortra (se abre en una nueva pestaña) han descubierto una nueva campaña de phishing que utiliza un paquete npm malicioso como parte de su mecanismo de distribución. El paquete, que se distribuyó a través del registro de npm, se diseñó para recopilar credenciales imitando módulos legítimos.
¿Cómo funciona un ataque de phishing?
Fortra analizó un ataque de phishing de tipo « » ( ) que comienza con un correo electrónico que contiene un archivo adjunto malicioso con extensión .HTM. El correo electrónico se ha entregado correctamente en la bandeja de entrada, probablemente porque el archivo parece inofensivo. El archivo contiene código cifrado que requirió un análisis más detallado y que, según se comprobó, apuntaba a JavaScript.
Tal y como señala Fortra, el archivo JavaScript formaba «parte de un paquete npm malicioso alojado bajo la apariencia de una biblioteca de código abierto habitual». El paquete cargaría y ejecutaría un script de segunda fase encargado de crear enlaces de phishing personalizados utilizando la dirección de correo electrónico de la víctima, lo que la llevaría a una página de inicio de sesión falsa de Microsoft 365 .
¿Qué contiene el correo electrónico de phishing?
Como se ha señalado, el correo electrónico de phishing contiene un archivo adjunto malicioso con extensión .HTM. Tras una investigación más exhaustiva, Fortra descubrió que el archivo utiliza el cifrado AES para ocultar una cadena almacenada en una variable concreta.
El cifrado AES no suele aparecer en las campañas de phishing, ya que los autores suelen recurrir a métodos de ofuscación menos sofisticados. Tras descifrar el contenido, descubrieron que apuntaba a una URL alojada en «jsDelivr», que es una red de distribución de contenidos (CDN) destinada a distribuir, por ejemplo, paquetes de npm.
Análisis del paquete npm malicioso
Para cuando Fortra se dispuso a investigar, el paquete de npm ya había sido bloqueado. No obstante, aún así pudo instalar el paquete a través de Node.js y descubrió que una de las carpetas descargadas, «MOMENTUM», contiene un archivo llamado «NOW.API.JS», que constituye la siguiente fase del ataque. Este archivo carga contenido malicioso adicional.
Cómo se redirige a las víctimas a sitios web de phishing
Fortra ha detectado una serie de redireccionamientos a direcciones URL maliciosas. El código JavaScript mencionado anteriormente hacía referencia a una URL maliciosa conocida. Descubrieron que el sitio de redireccionamiento devuelto por la API estaba fuera de línea y había sido marcado por Cloudflare como un caso de phishing. Fortra identificó una versión más reciente del paquete que contenía direcciones URL actualizadas, una de las cuales remite a una página de phishing activa. Este sitio redirigiría a la víctima a una página de destino con el fin de sustraer sus credenciales.
El sitio web de phishing en cuestión se encontraba fuera de línea en el momento de la investigación de Fortra. Se ha obtenido un informe anterior de «Any.Run» en el que se muestra una captura de pantalla del aspecto que tenía la página cuando estaba activa. La página es una típica página de inicio de sesión falsa de «Microsoft 365 ».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala Fortra, las distintas técnicas empleadas en este ataque no son exclusivas. Sin embargo, cuando se combinan, suponen una amenaza más eficaz. En la actualidad, es habitual que los actores combinen diversas tácticas, técnicas y procedimientos (TTP) para aumentar la eficacia de sus campañas, y esta no es una excepción.
El análisis de Fortra también nos recuerda que el robo de credenciales es, y seguirá siendo, uno de los principales objetivos de los actores maliciosos. Por ello, es fundamental adelantarse a estas tácticas, técnicas y procedimientos (TTP) y mantenerse al día de los últimos señuelos y trucos.
¿Tiene alguna información sobre estas historias que desee compartir? Visite y el foro de debate de Tanium para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
